Bo! De tornada de les vacances… i hora de posar-se les piles! Avui anem a veure un post que estic segur que ens pot ajudar a molts, la idea és fer servir una eina de codi obert que ens permeti analitzar les configuracions i la seguretat d'equips remots.

Tot i que és cert que hi ha algunes eines similars, jo us acosto la que porto utilitzant algun temps per realitzar anàlisis en equips. SCAP Compliance Checker que es open source, ens permet verificar si un sistema local o remot compleix amb unes normatives i polítiques de seguretat establertes. Analitza el sistema operatiu (i alguna aplicació/servei) en recerca de males configuracions o falta de seguretat. Com no, després d'analitzar-nos els equips, ens realitzarà un informe preciós, amb puntuacions i indicacions dels ítems que passen o no l' avaluació, així com instruccions per a la seva correcció. La idea és la de sempre, millorar la nostra protecció contra possibles vulnerabilitats i amenaces. Finalment, desenvolupada pel NIST (National Institute of Standards and Technology) dels EUA.

La idea d'aquest post és veure què com aquest tipus d'eines que ens ajuden senzillament a millorar la nostra seguretat, veurem com descarregar-la, instal·lar-la, farem un escaneig i veurem l'informe que ens genera, per equip i servei, on no només ens puntuarà l'equip, si no que ens indicarà els ítems que hem passat i quins no, oferint-nos el detall de com realitzar la correcció oportuna.

Ens podrem descarregar l'eina de https://public.cyber.mil/stigs/scap/ > “SCAP TOOLS”, podem instal·lar-la a Mac OS X, Raspbian, RHEL, Oracle Linux, SLES, Solaris, Ubuntu, UNIX i Windows. La instal·larem com fem de manera habitual, depèn el nostre OS, amb 'rpm -i', doble click al “.exe”…

Podrem realitzar escanejos de màquines remotes Linux o Windows des de Windows; i des de Linux podrem escanejar equips remots Linux.

Ens instal·larà els DISA STIG SCAP Content, que són les guies STIG en format adaptat, i gràcies a això podrem analitzar el compliment i configuracions en els sistemes locals o remots. Els STIG són guies tècniques d'implementació de seguretat, publicades per la DISA (Defense Information Systems Agency) del Departament de Defensa dels Estats Units. Proporcionen pautes detallades i recomanacions per assegurar la configuració de diferents sistemes.

Després d'obrir-lo, a Windows tindrem GUI, en linux serà mitjançant línia de comandaments (/opt/scc/cscc –config). Primer haurem de configurar-lo, podrem fer un escaneig a l'equip local, o seleccionar un equip remot Windows, Linux… o diversos, des d' una OU, fitxer de text… Segon seleccionarem els SCAP que volem fer servir per a l'escaneig, seleccionarem almenys el SO de l'equip remot (podrem instal·lar més SCAP Content des de la seva web) i respondrem (opcionalment) si tenen preguntes. Per connectar els Windows habitualment es farà servir WMI amb credencials amb permisos i per als Linux necessitarien els equips remots l'UNIX Remote Scanning Plugin.

I tercer, ja podrem polsar per començar l'escaneig!

Després d'uns pocs minuts ens indicarà que ja ha finalitzat i podrem veure els resultats de la Sessió, on veiem breument els equips analitzats, amb el seu perfil, la seva puntuació, els ítems superats i els fallits. Podrem veure el resum des del web,

Aquest resum de manera una mica més elegant ens permet navegar i veure en diferents formats els resultats, podrem llavors arremangar-nos… ja que en aquest cas podem veure què tenim mal configurat als Windows 11 i Windows Server 2022, així com mirarem els seus Internet Explorer, Firefox, Acrobat Reader o IIS.

Podem veure la puntuació d'aquesta màquina d'exemple, ens ve un inventari molt detallat, si seguim baixant venen les sorpreses…

Vindrà en base a diferents severitats que vulguem complir els ítems que no complim (i els que sí),

Si punxem en qualsevol d'ells, veurem com ens diu que podem corregir el problema. En aquest cas que no compleixo amb una exigència de longitud mínima de 14 caràcters a les contrasenyes l'equip i amb una GPO el tindria resolt.

En definitiva, eines lliures, que ens permetran buscar males configuracions en equips, falta de bones pràctiques, elevar el hardening dels equips per veure si complim mínims de seguretat… tot sigui per evitar ensurts… 😉 Recordar que hi ha guies tipus CCN-CERT que ens poden ajudar moltíssim en els negocis per evitar ramsomwars, robatoris o pèrdues de dades… i em ja em caig, una abraçada i no oblidin supervitaminar-se i mineralitzar-se!

Cuidar-vos,